WPML-lek CVE-2026-76877: inloggen zonder wachtwoord via de SSO tussen taaldomeinen
In de vertaalplugin WPML zit een lek tot en met versie 4.9.7. Via de SSO tussen taaldomeinen kan een aanvaller een account overnemen. Zo controleer je je site.
In WPML Multilingual CMS, een van de bekendste plugins om een WordPress-website meertalig te maken, zit een beveiligingslek. Het lek heeft het nummer CVE-2026-76877 en is op 10 november 2026 openbaar gemaakt. Een aanvaller kan er onder voorwaarden mee inloggen op het account van een andere gebruiker, zonder dat hij een wachtwoord nodig heeft. Kwetsbaar zijn alle versies tot en met 4.9.7. Gebruik je WPML en heb je je talen op aparte domeinen staan, dan is dit WPML-lek iets om vandaag na te lopen.
Wat is er aan de hand met WPML?
WPML kan elke taal van je website op een eigen domein zetten, bijvoorbeeld een .nl-domein voor Nederlands en een .de-domein voor Duits. Zodat je als ingelogde gebruiker niet op elk domein opnieuw hoeft in te loggen, heeft WPML een functie voor single sign-on (SSO) tussen die taaldomeinen. Precies in dat onderdeel zit de fout.
Volgens de beschrijving bij de CVE-registratie en de analyses van onder meer TheHackerWire en Strix gaat het om een zogenoemde race condition in de SSO-afhandeling voor taaldomeinen. Het probleem speelt op het moment dat een echte gebruiker uitlogt. WPML maakt dan een aanmeldcode aan die bedoeld is om de andere taaldomeinen bij te werken. Volgens de analyses kan een aanvaller zonder account dezelfde code zelf afleiden door het uitlogproces te starten. Is hij sneller dan het legitieme verzoek van de browser van het slachtoffer, dan kan hij via een van de andere taaldomeinen WordPress-inlogcookies laten aanmaken voor die gebruiker. In de beschrijvingen wordt een tijdvenster van 60 seconden genoemd. In de analyses wordt de functie process_iframe_request als bron van het probleem aangewezen.
Volgens Patchstack kan een aanvaller zo toegang krijgen tot gebruikersaccounts, ook tot accounts van beheerders. Wie een beheerdersaccount in handen heeft, kan in principe alles op de website aanpassen.
Hoe ernstig is het WPML-lek?
Het lek heeft een CVSS-score van 8,1 en valt daarmee in de categorie hoog. De CVE is toegekend door Wordfence. Er is geen account of actie van het slachtoffer nodig om de aanval te starten, maar de aanval is wel ingewikkeld: de aanvaller moet precies op het goede moment toeslaan, terwijl iemand uitlogt. Daarom is de score niet hoger.
Er is op dit moment geen bewijs dat het lek al wordt misbruikt. Volgens TheHackerWire staat CVE-2026-76877 niet in de lijst van actief misbruikte lekken van het Amerikaanse CISA, en er is geen openbare aanvalscode bevestigd. Volgens de tijdlijn op ThreatInt is de maker van WPML op 19 augustus 2026 ingelicht en volgde de openbaarmaking begin november.
Belangrijk: het lek gaat over de SSO-functie voor aparte domeinen per taal. Gebruik je WPML met mappen (zoals /en/ en /de/) of met een taalparameter in de URL, dan valt je site volgens de omschrijving van het lek waarschijnlijk buiten het risico. Bijwerken blijft wel verstandig. Wil je zeker weten hoe je site is ingesteld, kijk dan bij de taalinstellingen van WPML hoe het taal-URL-formaat staat.
Welke versie is veilig?
Hier zijn de bronnen het nog niet over eens. Kwetsbaar zijn alle versies tot en met 4.9.7. De officiële referenties bij de CVE verwijzen naar de pagina van WPML 5.0.0, de grote update die WPML in september 2026 uitbracht. Dat wijst erop dat de fout in de 5.x-reeks is aangepakt. Patchstack meldt op het moment van schrijven echter nog dat er geen officiële patch is. Ondertussen zijn er al nieuwere versies uit, waaronder WPML 5.3.0.
Ons advies: draai je nog WPML 4.9.7 of ouder, werk dan bij naar de nieuwste 5.x-versie en controleer in de changelog van WPML en het advies van Wordfence welke versie als veilig wordt genoemd.
Wat betekent dit voor jou als ondernemer?
Een meertalige website trekt klanten uit meerdere landen, maar elke extra plugin is ook iets om bij te houden. Wij schreven eerder al over de voordelen van een meertalige WordPress-website en over een eerder lek in een andere vertaalplugin, TranslatePress. Dit zijn de stappen die je nu kunt nemen:
- Check je WPML-versie. Ga in WordPress naar Plugins en kijk welke versie van WPML Multilingual CMS je hebt.
- Kijk hoe je talen zijn ingesteld. Gebruik je een apart domein per taal, dan is je risico het grootst.
- Werk bij naar de nieuwste versie. Maak eerst een back-up, test bij voorkeur op een testomgeving en update daarna WPML en de bijbehorende add-ons.
- Loop je gebruikers na. Kijk of er onbekende beheerdersaccounts zijn bijgekomen en verwijder accounts die niet meer nodig zijn.
- Zet tweestapsverificatie aan voor beheerders. Dat maakt misbruik van overgenomen accounts lastiger.
Heb je geen tijd om updates en beveiligingsmeldingen zelf bij te houden? Met ons website-onderhoud en beheer zorgen wij dat je plugins, thema's en WordPress zelf veilig en up-to-date blijven. Meer actueel nieuws over WordPress en websites lees je op onze nieuwspagina.
Bronnen: TheHackerWire, Strix, Patchstack, ThreatInt, OpenCVE, CVE.org, WPML. Wij konden de bronpagina's niet rechtstreeks openen; de details zijn gebaseerd op samenvattingen uit zoekresultaten.
